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) Verfahren zur Uberprufung der Zugangsberechtigung eines Benutzers zu einem Prozefi 

) Beschrieben wird ein Verfahren zur Oberprufung der 
Zugangsberechtigungen des Benutzers eines Datenverarbet- 
tungsnetzes zu einem daran angeschlossenen ProzeB. Im 
Datenverarbeitungsnetz ist ein Authentifizierungsrechner 
(ATH) vorgesehen, zu dem ein den Zugang zu einem ProzeB 
anfordemder Benutzer mit einem ihm zugeordneten Pafiwort 
Zugang emalt. Der Authentifizierungsrechner erzeugt bei 
Anforderung durch den Benutzer einen Schlussel (SL). Der 
Schlussel (SL) enthalt eine Benutzermaske (BENMAS), die 
angibt, zu welchen der an das Datenverarbeitungsnetz 
angeschlossenen Prozesse der anfordernde Benutzer eine 
Zugangsberechtigung hat. Dieser Schlussel wird an den 
anfordemden Benutzer - ggf. kodiert - zuruckubertragen. 
Unter Verwendung dieses Schlussels steuert der Benutzer 
dann den von ihm gewunschten ProzeG an. In dem ProzeB 
wird die Benutzermaske (BENMAS) aus dem Schlussel (SL) 
und aus der Benutzermaske die Zugangsberechtigung des 
anfordemden Benutzers festgesteltt. 
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Die Erfindung betrifft cin Vcrfahrcn zur Oberprufung 
der Zugangsberechtigung eines Benutzers eines Daten- 
verarbeitungsnetzes zu einem daran angeschlossenen 
ProzeB unter Benutzung eines Passwortes. 

Es ist Gblich, daB cin an ein Datenverarbeitungsnetz 
angeschlossener Benutzer fflr jeden ProzeB ein geson- 
dertes Passwort braucht Jeder an ein Netz angeschlos- 
sene Benutzer hat also meist mehrere Passworte, nam- 
lich so viele wie er Zugangsberechtigungen zu unter- 
schiedlichen Prozessen hat Die Gflltigkeit der Passwor- 
te ist flblicherweise zeitlich Umitiert (1 bis 3 Monate> 
Nach Ablauf dieser Zeit wird vom Benutzer die Festle- 
gung eines neuen Passwortes verlangt, ohne die Berech- 
tigung neu zu prflfea Dies fflhrt dazu, daB man einf ache 
Passworte sucht (Geburtstag der Ehefrau, Namen der 
Kinder, usw.). Es besteht audi die Gefahr, daB die Be- 
nutzer Notizen uber Passworte an leicht zug&nglichen 
Stellen (z. B. auf der Unterseite des Keyboards) aufbe- 
wahrea Damit wird die Sicherheitsfunktion der Pass- 
worte zu nichte gemacht 

Ein weiterer Nachteil der Anforderung des Zugangs 
zu einem bestimmten ProzeB Ober ein Datenverarbei- 
tungsnetz mittels eines Passworts besteht darin, daB das 
Passwort selbst Gegenstand des Datenverkehrs auf 
dem Netz ist Jeder, der Qberhaupt uber einen AnschluB 
zu dem Netz verfOgt oder ihn sich verschaffen kann 
(Hacker), kann also den Datenverkehr analysieren und 
daraus u. U. das Passwort gewinnea 

Ein weiterer Nachteil bekannter Systeme zur Zu- 
gangsauthorisierung und BerechtigungsverwaJtung be- 
steht darin, daB die Zugangsberechtigung zeitlich unbe- 
grenzt ist Sie besteht fflr ausgeschiedene Mitarbeiter 
meist weiter; dasselbe gilt fflr Mitarbeiter, die eine be- 
stimmte Zugangsberechtigung nicht mehr bendtigea 
Urn die Zugangsmdglichkeit zu beenden, mufl in den 
betroffenen Prozessen die Berechtigung geldscht wer- 
dea 

Aufgabe der Erfindung ist es daher, den Zugang zu 
mehreren verschiedenen Prozessen eines Datenverar- 
beitungsnetzes zu vereinfachen und gleichzeitig die Si- 
cherheit gegen unbefugte Benutzung zu erhdhea 

ErfindungsgemaB wird diese Aufgabe dadurch geldst, 
daB im Datenverarbeitungsnetz ein Authentifizierungs- 
rechner vorgesehen ist, zu dem ein den Zugang zu ei- 
nem ProzeB anfordernder Benutzer mit ihm zugeordne- 
ten bestimmten Passwort Zugang erhalt daB der Au- 
thentifizierungsrechner einen bestimmten SchlQsse! fflr 
den Benutzer erzeugt daB der Schlflssel eine Benutzer- 
maske enthalt, die angibt, zu welchen der an das Daten- 
verarbeitungsnetz angeschlossenen Prozesse der anfor- 
dernde Benutzer eine Zugangsberechtigung hat, daB 
dieser Schlflssel an den anfordernden Benutzer zurflck- 
Abertragen wird, und daB der Benutzer unter Verwen- 
dung dieses Schlflssels den von ihm gewflnschten Pro- 
zeB ansteuen, daB dann in dem ProzeB die Benutzer- 
maske aus dem Schlflssel und aus der Benutzermaske 
die Zugangsberechtigung des anfordernden Benutzers 
festgestellt und, falls vorhanden, diesem der Zugang zu 
dem ProzeB freigegeben wird. 

Vorteilhafte Weiterbildungen der Erfindung sind in 
den Unteransprflchen definiert Insbesondere ergibt 
sich unter Verwendung auch der genannten Weiterbil- 
dungen ein Verfahren, bei dem ein vom Authentifizie- 
rungsrechner erzeugter kodierter Schlflssel fflr jeden 
Benutzer eine Benutzermaske generiert aus der die 
Prozesse ersichtlich sind, zu denen dieser Benutzer eine 



Zugangsberechtigung hat Ferner kann man vorteilhaf- 
terweise die Netzadresse des anfordernden Benutzers, 
das Benutzerdatum und die Dauer der Zugangsberech- 
tigung in den Schlflssel mit einbeziehea Diese Informa- 
5 tion wird kodiert an den anfordernden Benutzer zurflck- 
gegeben, der sich seinerseits damit den Zugang zu den 
Prozessen, fflr die er tatsachlich eine Zugangsberechti- 
gung hat, verschaffen kana Dies geht dann aber nur von 
einer bestimmten Netzadresse aus, an einem bestimm- 
io ten Datum und fflr eine bestimmte Dauer. 

Damit kdnnen alle Zugangsberechtigungen eines be- 
stimmten Benutzers zentral verwaltet und jederzeit ge- 
andert werden, ohne daB damit irgendwelche Benutzer- 
berechtigungen in den Prozessen ge&ndert werden mfls- 
15 sea Der Benutzer braucht nur ein Passwort, na\mlkh 
das, das ihm den Zugang zu dem Authentifizierungs- 
rechner verschafft 

Die Erfindung schafft also ein auBerordentlich einfa- 
ches System der Zugangsauthorisierung und Berechti- 
20 gungsverwaltung mit erhdhter Sicherheit 

Ein Ausfflhrungsbeispiel der Erfindung wird im fol- 
genden unter Bezugnahme auf die beigefflgten Zeich- 
nungen naher beschriebea Es stelien dar: 

Fig. 1 ein Datenverarbeitungsnetz mit einem ange- 
25 schlossenen Benutzer und verschiedenen angeschlosse- 
nen Prozessen; 

Fig. 2 eine matrixfdrmig aufgebaute Liste, die die Zu- 
gangsberechtigungen einzelner Benutzer enthalt; 

Fig. 3 einen vom Au then tifiziemngsrechner ers tell ten 
30 Schlflssel; 

Fig. 4 ein Ablauf plan fflr die Erstellung des Schlflssels 
im Authentifizierungsrechner; 

Fig. 5 ein Ablauf plan fflr die Freigabe eines Prozesses 
unter Verwendung des Schlflssels. 

35 Fig. 1 zeigt einen Ausschnitt aus einem Datennetz, an 
das ein Benutzer und verschiedene Prozesse, im Beispiel 
die Prozesse 1 bis 4, abgekflrzt: Proz. 1, Proz. 2, Proz. 3, 
Proz. 4, angeschlossen sind 
An das Datenverarbeitungsnetz ist ferner ein Authen- 

40 tifizierungsrechner ATH angeschlossea In diesem sind 
die Zugangsberechtigungen aller Benutzer in Form ei- 
ner Matrix niedergelegt, wie dies aus Fig. 2 ersichtlich 
ist Der Benutzer A hat z. B. fflr die Prozesse Proz. 2 und 
Proz. 3 eine Berechtigung, jeweils angezeigt durch eine 

45 T. jedoch keine Berechtigung fflr die Proz. 1 und Proz. 
4. Der Benutzer B hingegen hat eine Berechtigung fflr 
die Prozesse Proz. 1 und Proz. 2, nicht jedoch fflr die 
Prozesse Proz. 3 und Proz. 4. 

Die Bits einer Zeile, also fflr den Benutzer A die Folge 

50 0110, ist die Benutzermaske BENMAS dieses Benutzers. 
Der Aufbau eines Schlflssels SL. der im Authentifizie- 
rungsrechner ATH generiert wird, ergibt sich aus Fig. 3. 
Die verschiedenen Benutzer haben an der Stelle, von 
der aus sie den Zugang zu einem bestimmten ProzeB 

55 haben wollen, also an ihrem Arbeitsterminal oder ihrer 
Workstation, eine bestimmte Netzadresse NETADR. 
Auch diese Netzadresse NETADR wird in den Schlflssel 
mit einbezogen. Das bedeutet, daB der Zugang zu dem 
ProzeB auch nur von dieser Netzadresse NETADR aus 

60 erlangt werden kana AuBerdem erhalt der Schlflssel SL 
noch das Datum der Benutzung BENDAT. Nur fflr die- 
sen Tag wird also ein Schlflssel erzeugt SchlieBlich ent- 
halt der Schlflssel SL noch die Benutzungsdauer BEN- 
DAU. Nur fflr diese Zeit z- B. halbe-Tage-weise oder fflr 

65 einige Stunden, gilt dann der Schlflssel SL Ist diese Zeit 
abgelaufen, muB erneut ein Schlflssel generiert werdea 
Wie aus Fig. 3 ersichtlich, wird also ein Schlflssel SL 
im Beispiel durch die Benutzermaske BENMAS, die 
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Netzadresse NETADR des Benutzers, das Datum der 
Anfordemng BENDAT und die Benutzungdauer BEN- 
DAU gebildet Dieser SchlOssel SL wird im Authentifi- 
zierungsrechner ATH auf Anfordemng erzeugt, kodiert 
und dann als kodierter SchlOssel KSL dem anfordern- 5 
den Benutzer zurQckQbermittelt Dieser kann sich damit 
Zugang zu den Prozessen, zu denen er eine Zugangsbe- 
rechtigung besitzt (die also in der Benutzermaske BEN- 
MAS enthaJten ist), beschaffen, und zwar nur von der 
Netzadresse NETADR aus, von der eraus den SchJflssel 10 
angefordert hat, an dem Datum BENDAT, an dem die 
Anfordemng und die Vergabe des SchlOssels KSL er- 
folgte, und ferner fflr die ebenfalls im kodierten SchlOs- 
sel KSL enthaltene Dauer BENDAU 

Der Ablauf der Erzeugung des SchlOssels SL bzw. des is 
kodierten SchlOssels KSL im Authentifizierungsrechner 
ATH ergibt sich aus Fig. 4. Im ersten Schritt schaltet 
sich der anfordernde Benutzer unter Nennung seines 
Namens (Username) und seines Passwortes im Authen- 
tifizierungsrechner ATH ein (LOGIN). Das Passwort, 20 
das er dabei verwendet, ist das sein persdnliches Pass- 
wort, das fur ihn gilt Jeder Benutzer hat also nur ein 
Passwort; es kann dementsprechend durchaus kompli- 
ziert sein. Unter Verwendung dieses nur einen Passwor- 
tes erreicht der Benutzer ein LOGIN im Authentifizie- 25 
rungsrechner ATH. Das Passwort wird geprflft Wenn 
es gOltig ist, wird fur den Benutzer eine Berechtigungs- 
maske BENMAS aus der im Authentifizierungsrechner 
ATH gespeicherten Liste von Berechtigungen gene- 
riert Es wird ferner die Netzadresse NETADR des an- 30 
fordernden Benutzers ermittelt Dies kann unter BenOt- 
zung herkdmmlicher Techniken erfolgen, etwa in glei- 
cher Weise, wie im Fernschreib-Verkehr oder im Tele- 
fax- Verkehr eine Kennung (ggf. AnschluBnummer) des 
Anmfenden bei Anmfer erscheint Ferner wird das Da- 35 
turn der Benutzung BENDAT und die Berechugungs- 
dauer BENDAU erzeugt Die Berechtigungsmaske 
BENMAS, Netzadresse NETADR des Anmfenden, Be- 
nutzungsdatum BENDAT und Benutzungsdauer BEN- 
DAU werden dann zu einem SchlOssel SL verknQpft; 40 
siehe Fig. 3. Nach einem Code, der auch wechseln kann, 
wird aus diesem SchlOssel SL ein kodierter SchlOssel 
KSL erzeugt Dieser wird an den anfordentden Benut- 
zer zurOckubertragen. 

Wie aus Fig. 5 ersichtlich, kann dann sich der Benut- 45 
zer unter Verwendung dieses kodierten SchlOssels KSL 
und ferner unter Verwendung seines Namens Userna- 
me bei einem bestimmten ProzeB einschalten, d h. ein 
LOGIN vornehmen. Dort wird der SchlOssel dekodiert 
und wiedemm Benutzermaske BENMAS, Netzadresse 50 
NETADR, das Datum BENDAT, und die Benutzerdau- 
er BENDAU ermittelt Im nachsten Schritt wird gepruft, 
ob die Benutzermaske BENMAS eine Zugangsberechti- 
gung fur den aufgerufenen ProzeB enthalt Dies ergibt 
sich aufgrund der in dem ProzeB niedergelegten Be- 55 
rechtigungen analog zur Liste der Berechtigungen in 
Fig. Z AuQerdem wird die Adresse NETADR des dem 
Zugang zu diesem ProzeB anfordentden Benutzers er- 
mittelt Ist die Adresse gleich der Netzadresse des An- 
fordernden, so ist auch diese PrOfung erfolgreich durch- 60 
gefOhrt Dann wird das aktuelle Datum und die aktuelle 
Uhrzeit in den nachsten beiden Schritten mit den Daten 
BENDAT und BENDAU im dekodierten SchlOssel ver- 
glichen. 1st auch hier Obereinstimmung gegeben, wird 
der ProzeB fOr den anfordernden Benutzer freigegeben. es 
Ist irgendeine der beschriebenen PrOfungen nicht er- 
fullt, wird der anfordernde Benutzer zurOckgewiesert 



PatentansprOche 

1. Verfahren zur OberprOfung der Zugangsberech- 
tigung des Benutzers eines Datenverarbeitungsnet- 
zes zu einem daran angeschlossenen ProzeB unter 
Benutzung eines Passwortes, dadurch gekenn- 
zeichnet, daB im Datenverarbeitungsnetz ein Au- 
thenufizierungsrechner (ATH) vorgesehen ist, zu 
dem ein den Zugang zu einem ProzeB anfordernder 
Benutzer mit ihm zugeordneten bestimmten Pass- 
wort Zugang erhalt, daB der Authentifizierungs- 
rechner bei Anfordemng eines bestimmten Prozes- 
ses durch den Benutzer einen SchlOssel (SL) er- 
zeugt, daB der SchlOssel (SL) eine Benutzermaske 
(BENMAS) enthalt, die angibt, zu welchen der an 
das Datenverarbeitungsnetz angeschlossenen Pro- 
zesse der anfordernde Benutzer eine Zugangsbe- 
rechtigung hat, daB dieser SchlOssel an den anfor- 
dernden Benutzer zurOckObertragen wird, und daB 
der Benutzer unter Verwendung dieses SchlOssels 
den von ihm gewOnschten ProzeB ansteuert, daB 
dann in dem ProzeB die Benutzermaske (BEN- 
MAS) aus dem SchlOssel (SL) und aus der Benut- 
zermaske (BENMAS) die Zugangsberechtigung 
des anfordernden Benutzers festgestellt und, falls 
vorhanden, diesem der Zugang zu dem ProzeB frei- 
gegeben wird. 

Z Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB der SchlOssel (SL) zusfltzlich zur Be- 
rechtigungsmaske (BENMAS) die Netzadresse 
(NETADR) des anfordernden Benutzers enthalt 

3. Verfahren nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet, daB der SchlOssel zusatzlich das Da- 
tum (BENDAT) und die Dauer (BENDAU) der Zu- 
gangsberechtigung enthalt 

4. Verfahren nach Anspruch 1 oder einem der fol- 
genden, dadurch gekennzeichnet, daB der SchlOssel 
(SL) im Authentifizierungsrechner (ATH) kodiert 
(KSL) wird 
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| LOGIN im Authenti- | 

j f izierungsrechner | 

j mit Username und | 

I Passwort | 



/ Pruefung des \ 
\ Passwortes /- 



Liste der 
Berechtigungen 



| gueltig 
I 



| Generierung der Be- 

| rechtigungsmaske 

>| fuer den Anforderer 

| BENMAS 



| Ermittlung der | 
| Netzadresse | 
j NETADR | 



ungueltig 



I 



| Nachricht | 

I an | 

| Anfordernden j 

I 



LOGOUT 



I 



| Erzeuge Datum BENDAT | 
| Berechtigungsdauer j 
j BENDAU " j 



I 



Verknuepfe BENMAS , NETADR | 

BENDAT und BENDAU ZU | 

einem Schluessel SL. I 

Kodiere Schluessel-> KSL j 



| Uebertrage Schluessel 
| KSL an Anforderer 
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LOGIN mit | 
Username,KSL j 



| Dekodierung deS Schluessels | 
I Ermittlung BENMAS , NETADR , j 
j B ENDAT , B ENDAU- j 



/ BENMAS fuer den \ 
\ Prozess gueltig /- 



| richtig 
I 



I 



3* 



I ja 
I 



/ Aktuelle Uhrzeit \ 
\ innerhalb von BENDAU/- 



I ja 
I 

V 

Freigabe des Prozesses 
fuer den Anforderden 



nein 



/ Netzadresse des LOGIN \ nein 
\ identisch mit NETADR / 



/ Aktuelles Datum \ nein 
\ identisch mit B ENDAT/ 



nein 



Zu ruec kwe i sung 
des Anfordernden 
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